Logiciel de conformité au règlement IA
L’AI Act demande quelle IA vous utilisez, et à quel titre. Gardez la réponse dans un seul registre.
Acuna GRC tient une fiche par système d’IA que vous développez, achetez ou déployez : votre rôle, sa classe de risque et le raisonnement qui la justifie, son analyse d’impact, les personnes qui peuvent l’arrêter et ses incidents. L’AI Act et l’ISO 42001 figurent dans la bibliothèque de référentiels, à côté de l’ISO 27001.
Dès CHF 6'390 par an · par organisation · sans frais par utilisateur
Ce que demande l’AI Act
L’AI Act, ou règlement sur l’IA (règlement (UE) 2024/1689), classe l’IA par niveau de risque et fixe des obligations selon votre rôle. Les interdictions, la maîtrise de l’IA, les règles sur les modèles d’IA à usage général et les obligations de transparence de l’article 50 s’appliquent déjà. Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a reporté les obligations à haut risque au 2 décembre 2027 (systèmes de l’annexe III) et au 2 août 2028 (IA dans les produits de l’annexe I).
Pour chaque système d’IA, établissez si vous en êtes le fournisseur ou le déployeur, vérifiez qu’il ne relève pas d’une pratique interdite et classez-le, à haut risque ou non, en gardant le raisonnement par écrit.
Prenez des mesures pour développer la maîtrise de l’IA de votre personnel, écartez les pratiques interdites, informez les personnes qui échangent avec un système d’IA et marquez les contenus générés par l’IA.
Les fournisseurs tiennent la gestion des risques, la documentation technique, la journalisation et un système de gestion de la qualité. Les déployeurs désignent une supervision humaine, conservent les journaux et, pour certains, mènent une analyse d’impact sur les droits fondamentaux.
Cela vous parle ?
Ce que vous devez dépend de chaque système d’IA : à quoi il sert, qui l’a conçu, ce que vous y avez modifié. La plupart des équipes n’ont pas de liste, et personne ne sait dire quelles obligations s’appliquent, ni depuis quand.
Sommes-nous fournisseur ou déployeur ?
La solution : Cela se décide système par système. Chaque fiche de système d’IA porte votre rôle, avec une justification à rédiger : la réponse est prête quand un client ou une autorité la demande.
Voir le registre de l’IANous ne savons pas lesquels de nos systèmes sont à haut risque.
La solution : Recensez chaque système que vous développez, achetez ou déployez, puis indiquez sa classe de risque et son cas d’usage dans l’onglet Classification. Des alertes signalent ce qui manque.
Voir la classificationL’échéance a été reportée. Qu’est-ce qui s’applique à nous aujourd’hui ?
La solution : Adoptez l’AI Act dans Comply : vous voyez ses exigences avec les mesures qui les couvrent, et les correspondances listent celles qui n’en ont pas encore.
Voir les exigencesPresque toute notre IA vient d’éditeurs. Que leur demander ?
La solution : Chaque fournisseur est l’un de vos tiers. Envoyez-lui une évaluation sur ses données d’entraînement, leur qualité et ses garde-fous : la fiche du système indique si les preuves sont à jour.
Voir l’évaluation des fournisseursComment Acuna GRC le couvre
Acuna GRC pilote l’AI Act dans le module Gouvernance de l’IA, avec Comply, TPRM et Assure : un registre des systèmes d’IA, des analyses d’impact et des superviseurs nommés, les exigences reliées à vos mesures, l’évaluation des fournisseurs et des incidents suivis jusqu’à leur clôture.
Gouvernance de l’IA tient une fiche par système d’IA : ce qu’il fait, son fournisseur, son stade de cycle de vie, son autonomie et les personnes concernées. L’onglet Classification enregistre votre rôle, la classe de risque et le cas d’usage, avec une justification obligatoire. Cinq alertes, par exemple un système en production sans approbation, signalent ce qui manque.
Voir Gouvernance de l’IA →La présélection établit si une analyse d’impact est due. L’analyse couvre la finalité, les personnes concernées et les préjudices, la supervision et le risque résiduel, et peut contenir une section sur les droits fondamentaux. Un système n’est approuvé pour l’usage qu’ensuite, et les superviseurs sont nommés avec le pouvoir d’annuler un résultat ou de suspendre le système.
Voir les analyses d’impact →Oui. Adoptez l’AI Act dans Comply, à côté de l’ISO 42001 et de l’ISO 27001. Plusieurs référentiels forment un seul programme, avec une seule bibliothèque de mesures et de contrôles : une mesure compte pour chaque exigence qu’elle couvre, et les correspondances listent les exigences de l’AI Act encore sans mesure.
Voir Comply →Le fournisseur de chaque système d’IA est l’un de vos tiers dans TPRM. Envoyez-lui une évaluation fournisseur sur ses données d’entraînement, leur qualité et ses garde-fous, et la provenance des données s’affiche sur le système : collectée, périmée ou manquante.
Voir TPRM →Chaque incident d’IA ouvre un problème dans Assure, suivi par des actions correctives avec leur cause racine. Les audits internes sont conservés avec leur période d’audit, et l’export de la piste d’audit donne un CSV de chaque modification des analyses d’impact, des désignations de superviseurs et des incidents.
Voir Assure →Laissez votre e-mail professionnel, votre entreprise et sa taille : l’un de nos experts vous montre comment Acuna GRC couvre l’AI Act.
Hébergé en Suisse, dans l'UE ou aux États-Unis
Aiko à votre rythme
Dans les correspondances, Lancer l’IA classe les meilleures mesures de votre propre bibliothèque pour chaque exigence de l’AI Act sans mesure, avec un score de confiance et une raison. Rien n’est relié avant que vous l’appliquiez.
1Aiko propose
2Vous confirmez
3Vous fixez le rythme
Avec Gouvernance de l’IA activé, Aiko lit votre registre des systèmes d’IA et liste les lacunes ouvertes, comme un système sans analyse d’impact ou que personne ne peut arrêter.
Les administrateurs fixent le mode le plus élevé pour chaque action.
Chaque action d'Aiko entre dans le journal d'activité.
Un seul Aikodans tout Acuna GRC. Ajoutez un module, il vous y aide aussi. Comment fonctionne Aiko
Experts suisses
Nos experts évaluent votre usage de l’IA au regard de l’AI Act et de l’ISO 42001 avec votre équipe, dans Acuna GRC, puis vous aident à planifier ce qui manque. Vos équipes tiennent le registre et prennent les décisions.
Expert en gouvernance de cybersécurité
Jean-Emmanuel Rodriguez
Gouvernance de l’IA
Experte juridique et conformité
Laura Menetrey
Juridique et vie privée
Leader de l'équipe conseil GRC
Bénédicte Sévin
Pilotage de projets GRCVous pilotez le programme dans Acuna GRC, avec Aiko.
Conseils, revues et préparation d'audit avec votre équipe.
Nos experts le pilotent. Vous validez.
Intégrations
Les connecteurs récupèrent les données de sécurité de vos outils d’identité, de cloud et de code selon un calendrier, et alimentent les KPI et contrôles que votre travail sur l’AI Act partage avec l’ISO 27001.
Animation : un bras robotisé prend les données de Microsoft Entra ID, Microsoft Defender, Azure, AWS, GitHub et Jira et les dépose sur un tapis vers votre espace dans Acuna, où vos preuves, vos KPI et vos alertes de sécurité restent à jour.
Entra ID
Okta
Google Workspace
Microsoft 365
AWS
Azure
Google Cloud
GitHub
GitLab
KnowBe4
Jira
ServiceNowLes connecteurs récupèrent les données de sécurité à intervalles réguliers, et des clés API permettent à vos systèmes d'en envoyer. Chaque appel est journalisé.
Nous concevons l'intégration selon votre environnement. Chacun de nos connecteurs natifs existe parce qu'un client en avait besoin.
Les tâches se synchronisent dans les deux sens avec Jira et ServiceNow. Voir Intégrations et API
Comment tout se relie
L’AI Act tourne dans le module Gouvernance de l’IA avec les espaces de base. Ajoutez TPRM pour l’évaluation des fournisseurs, le Staff Portal pour votre politique d’usage de l’IA et Data Privacy pour l’AIPD.
FAQ
Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom. Le déployeur utilise un système d’IA sous sa propre autorité, dans son activité. Le rôle se détermine système par système : une même entreprise est souvent les deux. Selon l’article 25, un déployeur qui appose son nom sur un système à haut risque, le modifie de façon substantielle ou en change la destination en devient le fournisseur.
Les pratiques interdites et la maîtrise de l’IA s’appliquent depuis le 2 février 2025, les règles sur les modèles d’IA à usage général depuis le 2 août 2025, et le reste du règlement, dont les obligations de transparence de l’article 50, depuis le 2 août 2026. Une interdiction supplémentaire, visant les contenus intimes non consentis et pédopornographiques générés par l’IA, s’applique à partir de décembre 2026. Les obligations à haut risque s’appliquent à partir du 2 décembre 2027 pour les systèmes de l’annexe III et du 2 août 2028 pour l’IA intégrée aux produits de l’annexe I. Ces deux dates viennent du règlement (UE) 2026/1744 : un texte adopté, en vigueur depuis le 27 juillet 2026, et non une proposition.
Selon l’article 27, certains déployeurs de systèmes à haut risque évaluent l’impact sur les droits fondamentaux avant la première utilisation : les organismes de droit public, les entités privées qui fournissent des services publics, et les déployeurs de systèmes d’évaluation de la solvabilité ou d’évaluation des risques et de tarification en assurance vie et santé. Dans Acuna GRC, l’analyse d’impact peut contenir une section sur les droits fondamentaux. L’analyse d’impact sur les droits fondamentaux expliquée
Chaque fournisseur et chaque déployeur prend des mesures pour développer la maîtrise de l’IA de son personnel et des autres personnes qui utilisent des systèmes d’IA pour son compte, quelle que soit la classe de risque. Depuis le règlement (UE) 2026/1744, il n’a pas à garantir un niveau donné pour chaque personne. Une politique d’usage de l’IA lue et confirmée par les collaborateurs fait partie de ces mesures, et le Staff Portal en garde la trace. L’obligation de maîtrise de l’IA expliquée
Les fournisseurs veillent à ce que les personnes sachent qu’elles échangent avec un système d’IA et marquent les contenus générés par l’IA dans un format lisible par machine. Les déployeurs signalent les hypertrucages et informent les personnes exposées à la reconnaissance des émotions ou à la catégorisation biométrique. L’article s’applique depuis le 2 août 2026.
Elles visent les fournisseurs des modèles, depuis le 2 août 2025 : documentation technique, informations pour les entreprises qui s’appuient sur le modèle, politique de respect du droit d’auteur et résumé des contenus d’entraînement. Si vous construisez sur un tel modèle ou l’utilisez, vous êtes fournisseur ou déployeur de votre propre système d’IA, et sa fiche dans Acuna GRC indique le fournisseur qui se trouve derrière.
Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, jusqu’à 15 millions d’euros ou 3 % pour la plupart des autres obligations, et jusqu’à 7,5 millions d’euros ou 1 % pour des informations inexactes fournies aux autorités. Le montant le plus élevé s’applique, sauf pour les PME, pour lesquelles c’est le plus faible.
Non. L’ISO 42001 est une norme volontaire de système de management de l’IA, l’AI Act est une loi. Le certificat n’apporte aucune présomption de conformité, mais le système de management prépare une grande partie du terrain. Dans Acuna GRC, vous adoptez les deux, et une mesure compte pour chaque exigence qu’elle couvre. Logiciel ISO 42001 pour votre SMIA
Les deux s’appliquent dès qu’un système d’IA traite des données personnelles. Le RGPD encadre les données, l’AI Act encadre le système et son usage. L’analyse d’impact sur les droits fondamentaux complète l’AIPD, et dans Acuna GRC le système d’IA est relié à ses activités de traitement. Logiciel de conformité RGPD
Oui, si vous mettez un système d’IA sur le marché de l’UE ou l’y mettez en service, ou si les résultats de votre système sont utilisés dans l’UE. Aucune entité dans l’UE n’est nécessaire pour cela. Les fournisseurs de systèmes à haut risque établis hors de l’UE désignent en outre un mandataire dans l’UE (article 22).
Aucun outil ne peut le faire à votre place. Acuna GRC tient le registre et les enregistrements que demande l’AI Act, et nos experts peuvent évaluer où vous en êtes. Il ne certifie la conformité à aucune loi ni à aucune norme.
En Suisse ou dans l’UE, selon votre choix, ou dans votre cloud privé ou sur vos propres serveurs.
L’un de nos experts suisses revient vers vous.
Dès CHF 6'390 par an · par organisation · sans frais par utilisateur
.png&w=3840&q=75&dpl=dpl_3X9AFTw2uy2qKV12Ru211HSxMAqk)